CVE-2026-33929 in PDFBox Examples
Résumé
par VulDB • 16/05/2026
Vulnérabilité « Limitation incorrecte d'un nom de chemin vers un répertoire restreint » (Path Traversal) dans les exemples d'Apache PDFBox.
Ce problème affecte l'exemple ExtractEmbeddedFiles d'Apache PDFBox : des versions 2.0.24 à 2.0.36, et des versions 3.0.0 à 3.0.7.
Il est recommandé aux utilisateurs de mettre à jour vers la version 2.0.37 ou 3.0.8 dès qu'elles sont disponibles. En attendant, ils devraient appliquer la correction fournie dans la Pull Request GitHub 427.
L'exemple ExtractEmbeddedFiles contenait une vulnérabilité de type path traversal (CWE-22) mentionnée dans la CVE-2026-23907. Toutefois, la modification apportée dans les versions 2.0.36 et 3.0.7 est défectueuse car elle ne prend pas en compte le séparateur de chemin de fichier. Par conséquent, un utilisateur disposant de droits d'écriture sur /home/ABC pourrait être victime d'un PDF malveillant entraînant une tentative d'écriture sur n'importe quel chemin commençant par /home/ABC, par exemple "/home/ABCDEF".
Les utilisateurs ayant copié cet exemple dans leur code de production devraient appliquer la modification mentionnée. L'exemple a été corrigé en conséquence et est disponible dans le dépôt du projet.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.